AWS CloudFormation更新栈遇S3 ACL错误，调整权限后再关公共访问是否可行？

核心结论 #

重新开启S3桶的「阻止所有公共访问」是合理的，但需结合业务场景和后续维护需求判断，具体分析如下：

• 适用场景（合理）：
  若你的业务不需要该S3桶或其存储的对象被公共访问，开启「阻止所有公共访问」是符合AWS安全最佳实践的操作。开启后，S3会强制屏蔽所有公共访问配置（包括你之前设置的AccessControl: PublicRead），确保桶资源处于私有状态。

• 需注意的风险与操作建议：

  1. 栈漂移问题：如果CloudFormation模板中仍保留AccessControl: PublicRead配置，开启阻止公共访问后，栈的「期望状态」与桶的「实际状态」会出现不一致（即栈漂移）。后续更新栈时，CloudFormation会尝试再次应用PublicRead配置，可能再次触发AccessControlListNotSupported错误，或因权限冲突导致更新失败。
  2. 同步更新模板：若确定开启阻止公共访问，建议同步修改CloudFormation模板，删除AccessControl: PublicRead属性，保持模板定义与实际资源状态一致，避免后续维护隐患。

• 不适用场景（不合理）：
  若你的业务依赖该桶的公共访问能力（比如托管静态网站、提供公共下载资源），开启「阻止所有公共访问」会直接导致业务功能失效，这种情况下绝对不能开启。

内容的提问来源于stack exchange，提问作者QDex